verify_authenticity_tokenをスキップする場合

なぜ人々は検証をスキップし、自分のアプリのセキュリティ上の脆弱性を増やしますか？ GETリクエストのみを持つページで無効にすると効果的ですか？前もって感謝します。verify_authenticity_tokenをスキップする場合

2012-02-24 Steve

CRSFチェックが既にCSRF対策が

http://guides.rubyonrails.org/security.html

3.1レールでGETリクエストのためにスキップされた箱の外でのクロスドメインソリューションのための特別な方法がありますW3CではGETとPOSTを適切に使います。第2に、GET以外の要求のセキュリティトークンは、アプリケーションをCSRFから保護します。

メソッド自体も表示されます。答えを

http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html#method-i-verify_authenticity_token

.... Also, GET requests are not protected as these should be idempotent. .... 

verified_request?() 
    Returns true or false if a request is verified. Checks: 
    is it a GET request? Gets should be safe and idempotent

出典

2012-02-25 00:39:09

クロスドメインアプリケーションを使用している場合は、authtokenの検証でエラーが発生する可能性があり、無効にすることはできますが、アプリケーションは安全ではありません。まず、必要とされるように - レール3では

出典

2012-02-24 23:37:44 ka8725

感謝。 GETリクエストのみを持つページで検証をスキップすると、メリット（例えば、パフォーマンス上のメリット）があるかどうか知っていますか？ – Steve

application_controller行で編集できます： 'protect_from_forgery：except => [：index、：show]' – ka8725

verify_authenticity_tokenをスキップする場合

答えて

関連する問題